L'IA responsable tranche désormais deux questions pour les entreprises françaises : vos clients vous font-ils assez confiance pour acheter, et vos équipes font-elles assez confiance aux outils pour les utiliser. La Harvard Business Review en fait une stratégie de croissance. D'accord. Mais la version qui rapporte le plus vite se joue à l'intérieur de l'entreprise, et presque personne n'en parle.
Par Toni Dos Santos, co-fondateur de Spicy Advisory. Publié le 4 août 2026, deux jours après l'entrée en application de l'article 50 de l'AI Act.
À retenir
- Le 2 août 2026 a bien eu lieu. Les obligations de transparence de l'article 50 de l'AI Act s'appliquent : dire à l'utilisateur qu'il parle à une machine, signaler les contenus générés par IA, marquer les deepfakes. Le Digital Omnibus n'a pas touché à cette date.
- Ce qui a bougé, c'est le haut risque. Les systèmes de l'annexe III (tri de CV, scoring de crédit, éducation) passent au 2 décembre 2027, l'IA intégrée dans des produits réglementés au 2 août 2028.
- La CNIL prend la main. Elle devient l'autorité de référence pour la surveillance du marché, entourée d'une quinzaine d'autorités sectorielles, et a déjà inscrit l'IA à son programme de contrôles 2026.
- L'obligation de formation a changé de nature, pas de destinataire. L'article 4 est passé d'une obligation de résultat à une obligation de moyens. Elle pèse toujours sur tout déployeur, et la supervision nationale démarre le 3 août 2026.
- Le vrai coût n'est pas juridique. Environ 91 % des entreprises investissent dans l'IA, environ 21 % des salariés s'en servent dans leur travail réel. Les 70 points d'écart sont un problème de confiance interne, pas de conformité.
- Trois gestes couvrent l'essentiel : recenser tous les outils utilisés, publier une charte d'une page, former sur les cas d'usage réels. Dans cet ordre, et pas l'inverse.
Vous ne savez pas exactement quelle IA tourne déjà chez vous ?
Faire le diagnostic IA gratuit →Réserver 30 minutes10 minutes, sans mur d'inscription. Un score de maturité et les trois chantiers prioritaires pour votre entreprise.
Ce que dit l'article de la Harvard Business Review
En juillet 2026, Michael Wade et Jochen Wirtz expliquent dans la Harvard Business Review que la confiance devient un avantage concurrentiel à mesure que l'IA s'installe dans les produits, les services et les décisions. Leur thèse : la responsabilité numérique des entreprises doit passer du statut d'exercice de conformité à celui de capacité stratégique à part entière.
Leur méthode tient en trois temps. Recenser chaque système d'IA utilisé. Intégrer la gouvernance dès la conception. Puis rendre ces pratiques visibles auprès des clients et des régulateurs.
Les exemples qui ouvrent l'article sont ceux qui finissent en comité de direction :
- Un fabricant de jouets connectés sanctionné par la FTC pour avoir collecté la géolocalisation d'enfants sans consentement parental.
- SiriusXM poursuivi en justice pour un outil de recrutement qui aurait écarté des candidats noirs à partir de variables indirectes comme le code postal, avant qu'un humain ne voie le moindre CV.
- Deux distributeurs australiens épinglés pour de la reconnaissance faciale en magasin sans information correcte des clients.
Bon article. Un angle mort quand même : la confiance y est traitée comme quelque chose qu'on construit pour les clients et les régulateurs. Dans chaque diagnostic IA qu'on mène, les premières personnes qui doivent faire confiance à votre IA sont vos propres salariés. Sans eux, le reste est théorique, puisqu'il n'y a pas d'usage à rendre responsable.
Où en sont les entreprises françaises en août 2026
Réponse courte : le cadre s'est précisé cette année, et les dates ont bougé dans les deux sens.
Le règlement européen sur l'IA s'applique par étapes, et son calendrier a été réécrit le 27 juillet 2026 par le règlement (UE) 2026/1744, le Digital Omnibus sur l'IA. Nous avons détaillé ce texte dans notre analyse du Digital Omnibus. Voici ce qu'il faut en retenir pour piloter.
| Date | Ce qui s'applique | Statut |
|---|---|---|
| 2 février 2025 | Pratiques interdites (article 5) et obligation de maîtrise de l'IA (article 4) | En vigueur |
| 2 août 2025 | Obligations des modèles d'IA à usage général, gouvernance, sanctions | En vigueur |
| 2 août 2026 | Transparence de l'article 50, application générale du règlement, pleins pouvoirs du bureau de l'IA | Applicable depuis samedi dernier |
| 2 décembre 2026 | Marquage lisible par machine pour les systèmes génératifs déjà sur le marché, deux nouvelles interdictions | À venir |
| 2 décembre 2027 | Systèmes à haut risque de l'annexe III : tri de CV, scoring de crédit, éducation | Reporté (était le 2 août 2026) |
| 2 août 2028 | IA à haut risque intégrée dans des produits couverts par l'annexe I | Reporté (était le 2 août 2027) |
Trois conséquences concrètes.
La transparence est due maintenant. Si un chatbot parle à vos clients, il doit dire qu'il est une machine. Si vous publiez des visuels ou des textes générés, ils doivent être signalés. Ce n'est pas un chantier de douze mois, c'est une ligne de code et un paragraphe de mentions.
Le répit sur le haut risque n'est pas une dispense. Décembre 2027 paraît loin. Un outil de tri de CV déployé aujourd'hui sera encore là en 2027, et l'affaire SiriusXM montre que les plaignants n'attendent pas les échéances réglementaires pour agir. Notre guide de l'AI Act pour les dirigeants de PME et d'ETI détaille la classification par niveau de risque.
Les sanctions sont actives. Jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites, 15 millions ou 3 % pour les autres manquements. Le plafond est théorique pour la plupart des entreprises françaises. Le coût réel, lui, est l'interruption d'un service client pendant qu'on répare.
Qui contrôle, en France
La CNIL devient l'autorité de référence pour la surveillance du marché de l'IA, entourée d'une quinzaine d'autorités sectorielles : DGCCRF pour la consommation, ACPR pour la banque et l'assurance, AMF pour les marchés, Arcom pour les contenus, ANSM pour la santé. Elle a déjà inscrit l'IA au programme de ses contrôles 2026.
Ses recommandations publiées depuis 2023 ne sont pas contraignantes en droit. Elles annoncent le standard qu'elle appliquera en contrôle, ce qui revient au même le jour où un inspecteur arrive.
Le point que beaucoup découvrent en ce moment
Le RGPD et l'AI Act se cumulent. Un chatbot RH qui traite des données de salariés relève des deux textes à la fois, avec des recoupements sur la documentation, l'analyse de risque et l'information des personnes. Deux démarches parallèles produisent deux jeux de documents qui se contredisent au bout de six mois. Un référentiel unique coûte moins cher et tient mieux. C'est la logique du framework de gouvernance IA pour ETI qu'on déploie en mission.
Résumé honnête pour une PME ou une ETI française : un calendrier qui a bougé deux fois en un an, un régulateur qui monte en première ligne, et l'obligation, dès maintenant, de savoir quelle IA tourne chez vous et de le dire clairement.
Mon angle : la confiance est un problème d'adoption avant d'être un problème juridique
Le schéma qu'on retrouve mission après mission. Les entreprises achètent les licences : environ 91 % investissent dans l'IA. Puis environ 21 % des salariés utilisent ces outils dans leur travail réel. Les 70 points d'écart entre les deux, c'est là que la gouvernance décide de tout, en silence.
Sans règles, deux choses se produisent.
Les salariés prudents ne font rien. Plutôt renoncer à l'outil que risquer un problème en collant des données client dans un chatbot. La licence reste payée, et inutilisée.
Les moins prudents utilisent ce qu'ils veulent sur leurs comptes personnels. Vous voilà avec du shadow AI, zéro visibilité, et précisément les incidents que le silence était censé éviter.
Les deux issues coûtent plus cher que le risque de départ. Et les deux se règlent avec exactement ce que la Harvard Business Review demande. C'est d'ailleurs la première cause structurelle qu'on identifie quand l'adoption de l'IA échoue en entreprise : ce n'est presque jamais l'outil.
Voilà pourquoi je lis leur méthode comme un plan d'adoption déguisé en dossier juridique. L'inventaire des systèmes dit à vos équipes ce qui est autorisé. La gouvernance dès la conception leur dit ce qui est sûr. La visibilité dit à vos clients que vous ne cachez rien. Trois gestes, double bénéfice : un pour le régulateur, un pour vos statistiques d'usage du lundi matin.
« Une charte IA ne crée pas la confiance. Elle enlève la raison d'avoir peur. C'est différent, et c'est suffisant pour débloquer l'usage. » — Toni Dos Santos, co-fondateur, Spicy Advisory
Ce que le droit dit de la formation, exactement
Point de précision, parce que beaucoup d'articles se trompent depuis juillet. L'article 4 du règlement européen imposait, depuis février 2025, de garantir un niveau suffisant de maîtrise de l'IA chez les personnes qui utilisent ces systèmes. Le Digital Omnibus l'a réécrit : il s'agit désormais de prendre des mesures pour soutenir le développement de cette maîtrise.
Une obligation de moyens, donc, là où il y avait une obligation de résultat. Elle reste due par tout déployeur, y compris une PME de quarante personnes, et la supervision nationale démarre le 3 août 2026. Vous devez toujours pouvoir montrer ce que vous avez fait. Notre article sur l'obligation de maîtrise de l'IA de l'article 4 détaille les preuves à conserver.
Ce qui n'a pas changé : former ses équipes a cessé d'être une option le jour où votre chatbot a répondu à un client.
Combien de licences IA payez-vous pour des outils que personne n'ouvre ?
Mesurer votre écart licences / usage →En parler 30 minutesLe Diagnostic IA mesure l'usage réel équipe par équipe, les workflows qui mangent le plus de temps, et le shadow AI dont personne ne parle.
À quoi ça ressemble en pratique : quatre gestes
1. Tout recenser, amnistie d'abord
Un tableur, une demi-journée par service. Chaque outil d'IA utilisé, y compris ceux que la DSI ne connaît pas.
Vous n'obtiendrez des réponses honnêtes que si l'exercice est présenté comme « on veut rendre ça sûr à utiliser », pas comme « on cherche qui a triché ». Dites-le explicitement, par écrit, avant de lancer le recensement. La liste du shadow AI est la page la plus précieuse de tout l'exercice : elle montre ce que vos équipes veulent vraiment, donc les usages qui méritent une version officielle.
2. Écrire une charte qu'un humain lira
Une page. Ce qui est autorisé, quelles données ne sortent jamais, qui contacter en cas de doute.
La politique IA de 40 pages signée dans l'outil RH protège les juristes et ne change rien d'autre. La page affichée près de la machine à café change les comportements. Si votre charte ne tient pas sur une page, elle ne décrit pas des règles, elle décrit une angoisse.
3. Former sur le travail réel, pas sur les outils
Des sessions construites sur les cas d'usage de l'équipe : la relance commerciale, le reporting mensuel, la présélection de candidats.
Intégrez le « pourquoi » des règles dans la formation, et l'obligation de l'article 4 est couverte au passage, sans webinaire juridique que tout le monde coupe. Commencez par le comité de direction : la littératie IA des dirigeants décide de la vitesse de tout ce qui suit.
4. Le dire publiquement
Une page IA responsable sur votre site, un paragraphe dans vos supports commerciaux, une réponse prête pour les questionnaires achats.
Les directions achats posent la question maintenant. Dans un appel d'offres, le prestataire capable d'expliquer sa gouvernance IA en français courant gagne face à celui qui répond « nous prenons ce sujet très au sérieux » puis se tait. C'est là que la thèse de la Harvard Business Review devient une ligne de chiffre d'affaires plutôt qu'une ligne de coût.
Là où ça mord en premier en France
| Usage | Ce qui s'applique | Quand ça devient un problème |
|---|---|---|
| Tri et présélection de CV | Catégorie à haut risque (annexe III), RGPD, code du travail | Dès le premier candidat écarté qui demande pourquoi |
| Chatbot face aux clients | Article 50, applicable depuis le 2 août 2026 | Maintenant |
| Scoring de crédit | Annexe III, supervision ACPR | Au premier contrôle sectoriel |
| Surveillance des salariés | Doctrine CNIL : consultation du CSE et proportionnalité | Dès le déploiement, sans attendre 2027 |
| Contenus marketing générés | Article 50 : signalement, marquage des deepfakes | Maintenant |
Ce que personne ne budgète
Un document de gouvernance ne crée pas la confiance. Les comportements, si.
L'adoption de l'IA est un problème de changement de comportement, et un comportement ne change pas parce qu'un PDF a été signé. Il change quand quelqu'un montre à une équipe, sur son propre travail, à quoi ressemble un usage sûr et utile. Ce poste-là n'apparaît dans aucun budget conformité, et c'est celui qui détermine le retour sur les licences.
Jeudi prochain, demandez à cinq personnes de cinq services différents quels outils d'IA elles ont utilisés cette semaine, et si elles le diraient à leur manager. Les réponses donnent votre vrai niveau d'IA responsable, quoi qu'en dise le classeur de politiques.
Savoir où vous en êtes vraiment
La plupart des entreprises savent qu'elles ont des licences IA. Beaucoup moins savent quelles équipes s'en servent, sur quelles données, avec quelles règles. Notre diagnostic gratuit vous donne un score de maturité et les trois chantiers prioritaires en moins de dix minutes. Ou bien apportez votre situation en visio, et on vous dira franchement si vous avez un problème d'adoption ou un problème de gouvernance.
Faire le diagnostic IA gratuit Réserver un échange de 30 minQuestions fréquentes
Que change le 2 août 2026 pour les entreprises françaises ?
Les obligations de transparence de l'article 50 de l'AI Act sont devenues applicables : information des utilisateurs face à un chatbot, signalement des contenus générés par IA, marquage des deepfakes. C'est aussi la date d'application générale du règlement et celle où le bureau européen de l'IA obtient ses pleins pouvoirs de contrôle sur les modèles à usage général. Le régime de sanctions est actif, jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les pratiques interdites. Les obligations des systèmes à haut risque, elles, sont reportées au 2 décembre 2027.
Qui contrôle l'application de l'AI Act en France ?
La CNIL devient l'autorité de référence pour la surveillance du marché, avec une quinzaine d'autorités sectorielles selon les domaines : DGCCRF, ACPR, AMF, Arcom, ANSM notamment. La CNIL a inscrit l'IA parmi ses priorités de contrôle pour 2026, et ses recommandations publiées depuis 2023, bien que non contraignantes en droit, indiquent le standard qu'elle appliquera en contrôle.
Faut-il former ses salariés à l'IA ?
Oui. L'article 4 du règlement européen s'applique depuis février 2025 à tout déployeur de systèmes d'IA. Le Digital Omnibus l'a réécrit en juillet 2026 : il s'agit désormais de prendre des mesures pour soutenir le développement de la maîtrise de l'IA, une obligation de moyens et non plus de résultat, avec une supervision nationale qui démarre le 3 août 2026. L'obligation reste due et il faut pouvoir montrer ce qui a été fait. Au-delà du droit, la formation reste le moyen le moins cher de combler l'écart entre les licences IA achetées et l'IA réellement utilisée.
RGPD et AI Act : faut-il deux démarches de conformité ?
Non, et c'est l'erreur classique. Les deux textes se cumulent dès qu'un système d'IA traite des données personnelles, avec des recoupements sur la documentation, la gestion des risques et la transparence. Un référentiel de conformité unique couvrant les deux cadres évite le double travail et les contradictions internes qui apparaissent au bout de six mois.
Le report du haut risque à décembre 2027 change-t-il quelque chose à court terme ?
Peu de choses, pour trois raisons. Les obligations de transparence de l'article 50 s'appliquent déjà. Le RGPD et le droit du travail encadrent déjà le tri de CV et la surveillance des salariés en France. Et les contentieux privés, comme l'affaire SiriusXM aux États-Unis, n'attendent pas les échéances réglementaires. Un système déployé en 2026 sera encore en production en 2027 : le report déplace la date de mise en conformité, pas la date à laquelle il faut concevoir correctement.
L'IA responsable, ce n'est pas juste de la conformité rebaptisée ?
Non. La conformité est le plancher. L'argument économique est celui de la confiance : les directions achats choisissent de plus en plus les prestataires capables d'expliquer leurs pratiques IA, et les salariés n'adoptent que les outils dont les règles d'usage sont claires. Les entreprises qui traitent la gouvernance comme un dispositif d'activation obtiennent de l'adoption ; celles qui la traitent comme une police obtiennent du shadow AI.
Par où commencer pour une PME ou une ETI ?
Trois étapes dans l'ordre : recenser tous les outils d'IA utilisés, y compris officieux ; publier une charte d'usage d'une page ; puis former les équipes sur leurs cas d'usage réels. Cette séquence couvre l'essentiel de la méthode décrite par la Harvard Business Review, l'obligation de l'article 4 et le fossé d'adoption en même temps. Un diagnostic IA externe raccourcit la première étape, parce que les réponses honnêtes viennent plus facilement à quelqu'un qui n'est pas le manager.